ci: a check of an absence in a step can fail: no command negated with ! (FRU-222)

[sakuga-agent]

For Mathieu to read: CI and the release workflow. Stack: #290 → this PR. Merge #290 first.

Refs FRU-222 (follow-up of #290: the one finding of its heavy review, P2, true)

The defect

GitHub runs a run step with bash -e, and bash does not apply errexit to a command that ! inverts. Three checks of the job docker image and one of check-console were written ! grep -q …: with 'unsafe-inline' in the policy of the console, or the origin of one worker in the policy of the other, the step stayed green. The step that #290 replaced on main had the same form.

The fix

• ci.yml: a function absent, which exits by itself; release-image.yml: if … grep -q …; then exit 1; fi.
• workflows.test.ts: a new case fails on any line of a workflow that negates a command with !, with a control on the form that was there.
• docs/decisions/image.md: the rule.

Proof

• A violation planted in an image: the template of the console built with 'unsafe-inline' in script-src, and the step « Boot the console for two workers… » extracted from each version of ci.yml and run against it as written. The step of feat(console): one image for every instance, published beside the worker, and a service of the compose file (FRU-222) #290 exits 0; the step of this PR exits 1 with « found « script-src[^;]*unsafe-inline » in /tmp/acme, where it must not be ». On the image as it is, the new step exits 0.
• The new case of workflows.test.ts fails on the workflows of feat(console): one image for every instance, published beside the worker, and a service of the compose file (FRU-222) #290 (it names the three lines of ci.yml and the one of release-image.yml) and passes here.

Not verified

check-console of release-image.yml has not run: no dispatch, no push to a registry.

🤖 Generated with Claude Code

---

Sakuga Review · Score de confiance : 4/5

La PR peut être fusionnée : le correctif remplace les ! grep de deux étapes par des tests qui échouent réellement, et la garde de workflow est ajoutée. Le seul point à corriger est une garde qui laisse passer des formes proches de ! grep.

Constats

1.  La garde ne couvre pas tous les ! négatifs apps/worker/src/workflows.test.ts:448
   La regex ^\s+! \S.*$ ne voit que les lignes qui commencent par ! . Une étape écrite run: ! grep -q x fichier sur une seule ligne, une liste - ! grep …, ou une chaîne grep a && ! grep b ne sont pas détectées. Sous bash -e, ces formes ne font pas échouer l'étape, et le test reste vert. Correction : Élargir la regex pour attraper ! après run:, -, &&, ||, | ou ;, et ajouter un témoin pour chacune de ces formes.
2.  absent réussit si le fichier est absent .github/workflows/ci.yml:405
absent appelle grep -q puis agit seulement si la sortie vaut 0. Si le fichier de contrôle n'existe pas, grep sort avec 2, la condition est fausse, et la fonction réussit sans rien vérifier. L'étape reste verte alors que la vérification n'a pas eu lieu. Le CLAUDE.md demande un contrôle qui échoue sur une violation planté, et aucun n'est ajouté ici. Correction : Dans absent, tester le code de sortie de grep : sortie 0 échoue, sortie 2 échoue aussi avec un message, sortie 1 réussit. Ajouter un contrôle qui vérifie que la fonction échoue sur une politique contenant la chaîne.

Résumé

La PR remplace les ! grep dans les étapes de ci.yml (fonction absent) et de release-image.yml par if grep …; then exit 1; fi, car sous bash -e un ! ne fait pas échouer l'étape. Elle ajoute un test dans workflows.test.ts qui cherche les lignes commençant par ! et une section dans image.md. J'ai vérifié les deux nouvelles formes et le test : elles échouent bien quand la condition est présente. Je n'ai pas pu exécuter les workflows ni vérifier les numéros de ligne exacts de ci.yml.

Non relu

• .github/workflows/ci.yml: numéros de ligne exacts de absent non vérifiés, les lignes de la PR ont été comptées approximativement
• apps/worker/src/workflows.test.ts: le corps de la fonction workflows() n'est pas dans le diff, je n'ai pas pu confirmer qu'elle lit tous les workflows

_{Revues (2) · Dernier commit relu : ci: a check of an absence in a step can fail: n... · Niveau lite · anthropic/claude-haiku-5.5 · 0,005 $}

[sakuga-review]

Score de confiance : 4/5 · ⚠️ Rien de bloquant · La PR peut être fusionnée : les deux étapes qui vérifiaient une absence utilisent désormais if grep …; then exit 1; fi, et le test de garde couvre le cas. Le seul point restant est un trou du test, de sévérité mineure.

_{Niveau lite · anthropic/claude-haiku-5.5 · 0,005 $ · Le résumé, le diagramme et la liste des constats sont à la fin de la description de la PR.}

[sakuga-agent]

Sakuga Review (lite, 4/5) on cb8b763, one P2 (workflows.test.ts:448): the guard sees only a line that begins with !. True, and left as it is: this pull request is green, and the limit is a known one. The guard catches the form that was there, four times. A wider pattern (! after &&, ||, ; or on the line of run:) would also fail on if ! command; then, which is the form that does stop, so it needs a parser of the shell and not one more expression. No workflow holds the other forms today: grep -rn '&& !\|; !\|run: !' .github/workflows finds nothing.

[sakuga-review]

Score de confiance : 4/5 · ⚠️ Rien de bloquant · La PR peut être fusionnée : le correctif remplace les ! grep de deux étapes par des tests qui échouent réellement, et la garde de workflow est ajoutée. Le seul point à corriger est une garde qui laisse passer des formes proches de ! grep.

_{Niveau lite · anthropic/claude-haiku-5.5 · 0,005 $ · Le résumé, le diagramme et la liste des constats sont à la fin de la description de la PR.}